Грибунин В.Г. Цифровая стеганография

Подождите немного. Документ загружается.

величина стремится к значению скрытой ПС при гауссовском

контейнере, равной

),(

DDС

)1log(

. Построение стегосистемы, при котором

асимптотически достигается максимальное значение скрытой ПС, совпадает

с гауссовским случаем:

, XZU

+= , где

, последова-

тельность

имеет нулевое математическое ожидание, дисперсию и яв-

ляется независимой от контейнера

, а распределение описывает

гауссовское атакующее воздействие вида (4.3) при

)/( xyQ

Рассматриваемые результаты имеют очень важное практическое значение.

Они определяют, что при использовании таких контейнеров как видео или

речевые, характеристики которых не распределены по нормальному закону,

при малых величинах и величина скрытой ПС практически не умень-

шается по сравнению со случаем гауссовских контейнеров. Для этого встраи-

ваемая информация должна внедряться в такие малые участки контейнера,

для которых распределение

)

(xp приближается к равномерному.

3.9. Атакующее воздействие со знанием сообщения

В рассмотренных ранее стегосистемах предполагалось, что нарушитель не

знает правила преобразования скрываемого сообщения

в последователь-

ность ,U которая встраивается в контейнер. Следовательно, даже если нару-

шитель знает вероятностные характеристики множества скрываемых сооб-

щений, то ему неизвестны характеристики множества . Теперь рассмот-

рим случай, когда нарушитель знает распределение последовательностей

и пытается использовать это знание для разрушения сообщения

. Назовем

такие действия нарушителя атакующим воздействием со знанием преобразо-

ванного в последовательность скрываемого сообщения. Как это ни удиви-

тельно, обладание этой информацией автоматически не означает, что нару-

шитель всегда способен удалить скрываемое сообщение из стего X.

Ясно, что в такой стегосистеме скрытая ПС ограничена сверху значением

скрытой пропускной способности, вычисленной согласно теоремы 3.3, так

как атакующий использует больше информации, чем оговорено в этой теоре-

ме. Но может ли скрытая ПС при данной атаке нарушителя быть строго

больше нуля? Рассмотрим подробнее эту задачу. Опишем атакующее воздей-

ствие условной функцией распределения и пусть

),/( uxyQ

есть множест-

во таких воздействий, удовлетворяющих неравенству

∑

≤

kxuxy

DkxpkxuxQuxyQyxd

,,,

(),

/,(

),/(),( . (3.25)

Приведем теорему, похожую на теорему 3.3, но отличающуюся тем, что

нарушитель дополнительно знает использованные скрывающим информацию

кодовые слова , а также тем, что рассматриваемое в ней множество

больше.

Теорема 3.9: Пусть атакующий знает описание стегосистемы и распреде-

ление используемых кодовых слов а декодер знает описание атакующего

воздействия. Для любой атаки, приводящей к искажению , скорость

достижима, если и только если

D R

CR < , где

(minmax

),/(

/,(

QQJC

uxyQ

kxuxQ

∈

. (3.26)

Доказательство этой теоремы аналогично доказательству теоремы 3.3.

Следствие 3.10: Если в качестве секретного ключа

стегосистемы ис-

пользовать контейнер

X то при выборе величина скрытой ПС XU = C в

выражении (3.26) одинакова с величиной скрытой ПС в выражении (3.9).

Схема доказательства этого следствия состоит из следующих шагов. Если

декодер знает

, то из следствия 3.4 выбор XU

является оптимальным

построением для скрывающего преобразования. С другой стороны, если

, то величина дополнительной информации для атакующего равна ну-

лю.

XU =

Для данной теоремы и следствия из него просматриваются некоторые ана-

логии из области криптографии. Если нарушитель знает шифруемое сооб-

щение, но не знает секретного ключа, то при использовании стойкой крипто-

системы он все равно не в состоянии определить, какая шифрограмма будет

сформирована. Соответственно, для стегосистемы, если нарушитель знает

внедряемое в контейнер сообщение, но не знает секретного ключа, то для

него знание скрываемой информации не должно увеличивать его возможно-

сти по разрушению этого сообщения.

Очевидно, что условие

накладывает определенные ограничения на

стегосистему. Ключ стегосистемы должен выбираться из множества естест-

венных контейнеров с вероятностными распределениями, весьма отличаю-

щимися от привычных для криптографии распределений ключевой инфор-

мации. Этот ключ, элементы которого в общем случае принадлежат непре-

рывному множеству, должен быть точно известен отправителю и получателю

скрываемых сообщений. Для таких стегосистем возникает проблема рассыл-

ки ключа очень большого объема. И, очевидно, такой ключ стегосистемы

может быть использован только один раз.

3.10. Скрывающие преобразования и атакующие воздействия с

памятью

Расширим основные результаты пункта 3.3 на простой класс атакующих

воздействий и скрывающих преобразований с памятью. Реальные скрываю-

щие преобразования во многом определяются корреляционными зависимо-

стями между элементами используемых контейнеров. Практически исполь-

зуемые методы скрытия в контейнерах, представляющие собой изображения

и речевые сигналы, во многом базируются на хорошо разработанных методах

блочного преобразования, таких как дискретное косинусное преобразование,

вейвлет-преобразование, векторное квантование и других, в которых на дли-

не блока преобразования имеется существенная зависимость от других эле-

ментов блока. И так как скрывающее преобразование синтезируется с учетом

той памяти, то нарушитель также использует атакующее воздействие с соот-

ветствующей памятью. Например, при скрытии информации в изображении с

использованием алгоритма сжатия JPEG целесообразно строить атакующее

воздействие, искажающее соответствующим образом весь блок пикселов

(обычно матрицу 8

8 пикселов). Например, такие атакующие воздействия с

памятью на блок реализованы в программе тестирования практических сис-

тем водяного знака Stirmark [22]. В этой программе комплексно используется

ряд атакующих воздействий, таких как сжатие изображений по алгоритму

JPEG, модификация и фильтрация значений яркости блоков пикселов, удале-

ние и перестановка в изображении строк и столбцов пикселов, сдвиг и обре-

зание краев изображения и т.д.

Дадим формальное описание скрывающего преобразования атакующего

воздействия с памятью. Пусть скрывающее преобразование и атакующее

воздействие учитывают зависимости между элементами контейнера, отстоя-

щими друг от друга не более чем на L позиций. Назовем L глубиной памяти

скрывающего преобразования и атакующего воздействия. Из последователь-

ности контейнера

K , в которой N > L, скрывающий информацию и ата-

кующий формирует блоки с памятью вида

{

}

xxА Х∈= K,

, соответственно. Пусть

{}

yyВ Х∈= K,

(

)

АВQ

есть условная функция

распределения из множества во множество , для которой выполняется

ограничение вида (3.2). Рассмотрим блочное атакующее воздействие без па-

мяти, описываемое расширением

(

)

АВQ

()

,1,,/

≥=∀

⎟

⎠

⎞

⎜

⎝

⎛

∏

jjLN

QxyQ

LNNN

где есть -ый блок вида

A i

{

}

−+LLiLi

xx K и

{

}

ААx

,K= . Заметим, что

длина блока N стегосистемы выбрана кратной глубине памяти L.

Функцию совместного распределения контейнера и ключа аналогичным

образом представим в виде

()

(

)

.1,,,

≥=∀=

∏

jjLNKApkxp

Коль в стегосистемах используются зависимости между ключами и кон-

тейнерами, то из наличия памяти в контейнере должно следовать наличие

аналогичной памяти в ключе стегосистемы. И если между элементами кон-

тейнера наблюдаются существенные корреляционные зависимости, что спра-

ведливо для большинства реальных контейнеров практически используемых

стегосистем, то между элементами ключа стегосистемы также должны быть

существенные корреляционные зависимости. Такие свойства ключа стегоси-

стем существенно отличают их от криптосистем. В криптосистемах наличие

каких-либо зависимостей между элементами ключа является признаком низ-

кой криптографической стойкости.

Определение 3.10: Блочное скрывающее преобразование без памяти, при-

водящее к искажению не более , описывается произведением условных

функций распределения вида

()

(

)

,1,,,

≥=∀=

∏

jjLNKAUAQkxuxQ

iiii

LNNNNN

из множества

Х ×

во множество таких, что

UХ ×

∑

≤

KUAA

DKApKAUAQAAd

(),

/,(

( . (3.27)

Определение 3.11: Обобщенное блочное скрывающее преобразование без

памяти, приводящих к искажению не более , описывается множеством

всех блочных скрывающих преобразований без памяти, удовлетворяющих

условию (3.27).

Структурная схема стегосистемы при скрывающих преобразованиях и

атакующих воздействиях с памятью показана на рис. 3.10.

Кодер

Декодер

Формирователь

блока

Формирователь

блока

ВВ

КК

Атакующее

воздействие

,...,

Рис. 3.10. Структурная схема стегосистемы при скрывающих преобразованиях

и атакующих воздействиях с памятью

Рассмотрим следующий результат, который является следствием теоремы

3.3 при использовании алфавитов

и вместо алфавитов

и . Ал-

фавит может быть представлен в форме произведения без потери общ-

ности.

Теорема 3.11: Пусть атакующему известно описание скрывающего пре-

образования, а декодер знает описание и скрывающего преобразования и ата-

кующего воздействия с глубиной памяти не более L. При любой атаке, при-

водящей к искажению не более , скорость R достижима, если и только если

, где

CR <

(

)

minmax

LLL

QQJС

= (3.28)

(

)

()

(

)

[

]

LLLLLLLLL

KXUIKYUI

QQJ /

;/;

−=

и цепочка переходов

(

)

LLLLL

YXKXU →→,

, есть марковская цепь.

Таким образом, если скрывающее преобразование имеет память ограни-

ченной длины, то используя стандартный в теории связи прием укрупнения

алфавитов, можно привести его к преобразованию без памяти. Такой же под-

ход годится для атакующего воздействия с памятью, и в целом потенциаль-

ные возможности по достоверной передаче скрываемой информации и воз-

можности по ее подавлению помехой не изменяются. Однако здесь надо учи-

тывать, что для построения оптимальной стегосистемы и для оптимального

ее подавления необходимо существенно увеличить размерность решаемых

вычислительных задач, а сложность их решения, как правило, экспоненци-

ально зависит от их размерности.

3.11. Стегосистемы идентификационных номеров

С позиций теории информации рассмотрим особенности построения и

обеспечения устойчивости к атакам нарушителя одного практически очень

важного класса информационно-скрывающих систем, называемых стегоси-

стемами идентификационных номеров (ИН). В стегосистемах ИН, как описа-

но в главе 1, в каждый экземпляр контейнера

, предоставляемый опреде-

ленному пользователю, встраивается ее индивидуальный номер. Таким обра-

зом, в качестве скрываемого сообщения передается уникальный номер, кото-

рый может быть использован для отслеживания любого неавторизованного

использования данного контейнера конкретным пользователем. Актуальным

практическим примером рассматриваемой задачи информационного скрытия

является защита авторских и имущественных прав при выпуске и продаже

CD-дисков (DVD-дисков, видео или аудиокассет) с уникальными номерами,

наличие которых позволяет отследить, с какого экземпляра были сделаны

нелегальные (“пиратские”) копии. Стегосистемы ИН также востребованы в

области служебного делопроизводства различных организаций, в которых

разграничивается доступ к информационным ресурсам разных пользователей

и требуется контролировать копирование электронных документов. В таких

стегосистемах законный пользователь электронного документа или лицензи-

онного информационного товара, или не имеющий законных прав доступа

злоумышленник, не должны иметь возможности удалить из заверенного кон-

тейнера идентификационный номер или подменить его на другой номер та-

ким образом, чтобы нельзя было бы обнаружить факт этих противоправных

действий. При этом при встраивании идентификационной информации иска-

жение кодирования должно быть достаточно малым, чтобы не ухудшить

потребительские и иные качества заверяемого контейнера [29].

Известно, что трудно построить стегосистемы идентификационных номе-

ров, устойчивые к атакующему воздействию на них. Дополнительно к атакам

на обычные системы ЦВЗ для них существует очень опасная атака сговора

между многими пользователями [28,30].

Опишем атаку сговора против стегосистемы идентификационных номе-

ров. Пусть отправителем формируется L* разных экземпляров заверенного

контейнера и из них некоторое число L

≤

L* экземпляров попало в руки зло-

умышленных пользователей. Сформируем модель нарушителя, который

представляет собой коалицию из L злоумышленных пользователей, каждый

из которых получил свой экземпляр одного и того же контейнера, заверенно-

го уникальным идентификационным номером. Согласованно действуя, коа-

лиция злоумышленников пытается построить достаточно близкую к оригина-

лу оценку контейнера, из которой удалена идентификационная информация.

Под достаточно близкой оценкой контейнера неформально будем понимать

представление контейнера с такой погрешностью, при которой практически

не снижаются его потребительские и иные качества как записи изобразитель-

ного, музыкального или иного произведения либо служебного электронного

документа.

Покажем, что совместные действия позволяют злоумышленникам вычис-

лить достаточно близкую к оригиналу оценку контейнера, что позволяет уда-

лить индивидуальные отпечатки из защищаемых контейнеров и тем самым

исключить возможность отслеживания неавторизованных действий пользо-

вателей. На рис. 3.11 представлена структурная схема стегосистемы иденти-

фикационных номеров при сговоре L пользователей. Рассмотрим следующую

формулировку данной задачи информационного противоборства. Для каждо-

го пользователя из контейнера

{

}

xxx

K= индивидуально формируется

стего

,1),,,

(

Llkmxfx

≤≤= где есть идентификационный но-

мер для пользователя l и отображение описывает скрывающее преобразо-

вание в стегокодере. Таким образом, один и тот же контейнер

M∈

и один и

тот же ключ используется для встраивания всех L скрываемых сообще-

ний. Будем полагать, что эти сообщения независимо и равновероятно

распределены на множестве . Идентификационные номера декодиру-

ется по правилу

(

)

NNl

kym ,

= , где есть функция декодирования стего-

системы. В декодере для всех экземпляров стего его идентификационный

номер вычисляется по одной и той же функции с использованием неиз-

менного ключа .

Кодер

Устройство

объединения

,11,1

NLL

,1,

Пользователь

...

Уст рой ст во

обработки

Устройство

разъединения

Атакующее воздействие

Пользователь

Декодер

,11,1

Пользователь

...

,1,

,...,

АА

Рис. 3.11. Структурная схема стегосистемы идентификационных номеров

при сговоре L пользователей

Пусть есть -ый элемент стего,

Х∈

{

}

Ni ,,1 K∈ , предоставленный -

ому пользователю,

{

}

Ll ,,1 K∈ . Согласованно действующие мошенники из

всех -ых элементов стего формируют последовательности вида

и из каждой такой последовательности вычисляют оцен-

ку соответствующего элемента контейнера. Если злоумышленники сумели

последовательно сформировать достаточно близкие оценки контейнера

{}

iLii

xxА Х∈=

,,1

,,K

≈ для всех

{

}

Ni ,,1 K∈ , то они удалили из стего (или исказили) инфор-

мацию идентификации. Атакующее воздействие опишем условной функцией

распределения из множества во множество . Скрывающие

преобразования и атакующие воздействия обозначим

(

ABQ /

)

и , соответст-

венно. Определим среднюю вероятность ошибочного декодирования иден-

тификационного номера в виде

()()

∑∑

=∈

=≠=

NNl

NNe

mMmkyPP

Если в результате действий нарушителя в произвольном экземпляре стего

за номером , где

{

}

Ll ,,1 K∈ , детектор обнаруживает идентификационный

номер, не принадлежащий множеству

{

}

L,,1 K , то это значит, что наруши-

тель способен переложить ответственность за несанкционированное копиро-

вание на невиновного пользователя. Нарушитель также добился успеха, если

детектор не обнаруживает никакого идентификационного номера. Любой из

этих фактов классифицируется как взлом стегосистемы идентификационных

номеров. Назовем совершенной стегосистемой идентификационных номеров

систему, обеспечивающую нулевую вероятность ошибочного декодирования

при ограничении искажений контейнера, вносимых атакующим, величиной

при условии, что число доступных атакующему экземпляров беско-

нечно велико.

D L

Также введем определение стойкой стегосистемы идентификационных

номеров, для которой неравенство

≤

, где

есть допустимое ненулевое

значение, выполняется при ограничении искажений, вносимых атакующим,

величиной при условии, что атакующему доступно конечное число

заверенных экземпляров. Определим такую стегосистему идентификацион-

D L

ных номеров стойкой. Например, для практически востребован-

ных стегосистем вероятность ошибочного декодирования идентификацион-

ных номеров, то есть вероятность успеха нарушителя, может быть задана

величиной

−),,(

порядка … , для заверяемых изображений допустимая

величина искажения может быть получена из величины отношения сред-

ней мощности сигнала контейнера к величине не хуже 40 – 45 дБ, а число

доступных злоумышленникам экземпляров не более десятков-сотен.

Предположим, что этот пример описывает задачу защиты имущественных

прав фирмы-производителя, продающей лицензионные записи видеофильма

на DVD-дисках. Величина в этом случае ограничивается бюджетом коа-

лиции злоумышленников, пытающихся стереть аутентифицирующую ин-

формацию с видеозаписи и тиражировать для продажи ”пиратские” копии.

Им невыгодно покупать слишком много экземпляров, так как доходы от не-

легального бизнеса могут не покрыть расходы на приобретение дорогостоя-

щих DVD-дисков. Злоумышленники вынуждены сами ограничивать величи-

ну искажений , так как иначе низкокачественные контрафактные видеоза-

писи никто не купит. И если вероятность успеха злоумышленников не пре-

вышает значения порядка , то этот вид преступного бизнеса оказывается

бессмысленным.

− 9

−

Скорость передачи R идентификационных номеров и скрытая ПС стего-

канала передачи идентификационных номеров определяется так же, как и для

ранее описанных систем ЦВЗ.

Рассмотрим известные результаты для систем идентификационных номе-

ров.

Теорема 3.12: При любой атаке нарушителя, приводящей к искаже-

нию , скорость передачи R идентификационных номеров достижима, если

и только если , где величина скрытой ПС стегоканала передачи иден-

тификационных номеров определяется в соответствии с выражением

(3.28). Пусть используется симметричная функция искажений

CR <

(

)

yxd , , вели-

чина искажения превышает величину искажения кодирования ,

()

min

′

xxdd

Sxx

для некоторого значения

(

)

1,0∈s , где

() ()

()

xxp

xxpxxd

⎟

⎠

⎞

⎜

⎝

⎛

′

−=

′

∑

∈

/log

есть расстояние Чернова между рас-

пределениями

()

xxp

/ и

(

)

xxp

′

/ . Тогда скрытая ПС экспоненциально

быстро стремится к нулю со скоростью, ограниченной снизу величиной

при .

min

dL⋅ ∞→L

В работе [2] указывается, что оптимальное атакующее воздействие не

имеет памяти, и что экспоненциальное уменьшение скрытой ПС с ростом L

справедливо для любого распределения контейнеров

(

)

. Быстрое умень-

шение величины скрытой ПС при увеличении числа доступных нарушителю

экземпляров свидетельствует о том, что трудности построения стойких сис-

тем идентификационных номеров существенно превышают трудности по-

строения стойких систем ЦВЗ. Можно сказать, что для обычной системы

ЦВЗ значение равно единице. В работах [28,30] приводятся примеры ре-

альных систем идентификационных номеров, оказавшихся слабыми против

сговора большого числа пользователей. В соответствии с теоремой 3.12,

эти результаты справедливы для большого класса алгоритмов идентификаци-

онных номеров.

В атаке сговора злоумышленник для каждого элемента контейнера вы-

числяет его оценку по правилу максимальной апостериорной вероятности

вида

(maxarg

iixi

xxpx = . Заметим, что атака на основе максимальной апо-

стериорной вероятности, неэффективная для восстановления хорошей оценки

контейнера с гауссовским распределением в обычной системе ЦВЗ (см. пункт

3.4.2), оказалась так эффективна против систем с ИН. Очевидно, это объясня-

ется тем, что атака на систему ИН построена как детерминированная, исполь-

зуя множество заверенных контейнеров для получения одного решения.

В атаке сговора средняя вероятность ошибочного декодирования иденти-

фикационного номера уменьшается при увеличении размерности алфавита

. Это означает, что шансы сохранить неразрушенным идентификацион-

ный номер контейнера существенно возрастают при увеличении размерности

алфавита символов контейнера. Этот результат интуитивно понятен, так как

чем больше экземпляры стего отличаются друг от друга, тем сложнее нару-

шителю точно восстановить пустой контейнер. А при малой размерности

алфавита

больших отличий разных экземпляров стего физически нельзя

обеспечить.

Существуют также стегосистемы, в которых одновременно встраивается

общая для всех экземпляров аутентифицирующая информация и идентифи-

кационный номер экземпляра. В таких системах внедряемое в контейнер со-

общение содержит две части: сообщение , общее для всех пользователей

(например, водяной знак для защиты авторских прав) и зависимые от номера

конкретного пользователя сообщения (ИН). Тогда метод кодирования

должен состоять из двух этапов: на первом этапе общее для всех сообщение

внедряется в контейнер для формирования L* одинаковых экземпляров

промежуточных стегограмм, и затем в каждый экземпляр встраивается свой

идентификационный номер , формируя L* уникальных экземпляров стего.

100